Për dekada, kriminelët kibernetikë kanë shfrytëzuar me sukses të metat dhe dobësitë në Rrjeti i gjerë botëror... Megjithatë, vitet e fundit ka pasur një rritje të qartë të numrit të sulmeve, si dhe një rritje të shkallës së tyre - sulmuesit po bëhen më të rrezikshëm dhe malware po përhapet me një ritëm të paparë më parë.
Prezantimi
Po flasim për ransomware që bëri një hap të jashtëzakonshëm në vitin 2017, duke shkaktuar dëme në mijëra organizata në mbarë botën. Për shembull, në Australi, sulmet e ransomware si WannaCry dhe NotPetya kanë ngritur madje shqetësime të qeverisë.
Për të përmbledhur 'sukseset' e ransomware këtë vit, ne do të shikojmë top 10 ransomware më të rrezikshëm dëmi më i madh organizatave. Shpresojmë që vitin e ardhshëm të nxjerrim mësime dhe të parandalojmë që ky lloj problemi të hyjë në rrjetet tona.
JoPetya
Ky sulm ransomware filloi me Programi ukrainas deklaratat e kontabilitetit M.E.Doc, i cili zëvendësoi 1C, i cili ishte i ndaluar në Ukrainë. Në vetëm pak ditë, NotPetya infektoi qindra mijëra kompjuterë në mbi 100 vende. Ky malware është një variant i ransomware-it më të vjetër Petya, përveç që sulmet NotPetya përdorën të njëjtin shfrytëzim si sulmet WannaCry.
Ndërsa u përhap, NotPetya preku disa organizata në Australi, si fabrika e çokollatës Cadbury në Tasmania, e cila duhej të mbyllte përkohësisht të gjithë sistemin e tyre IT. Ky ransomware gjithashtu arriti të depërtojë në anijen më të madhe të kontejnerëve në botë, në pronësi të kompanisë Maersk, e cila thuhet se humbi deri në 300 milionë dollarë të ardhura.
WannaCry
Ky ransomware, me përmasa të tmerrshme, praktikisht ka pushtuar të gjithë botën. Sulmet e tij përdorën shfrytëzimin famëkeq EternalBlue, duke shfrytëzuar një dobësi në protokoll. Serveri i Microsoft Blloku i mesazheve (SMB).
WannaCry infektoi viktima në 150 vende dhe mbi 200,000 makina vetëm ditën e parë. Ne kemi publikuar këtë malware të bujshëm.
Locky
Locky ishte ransomware më i popullarizuar në vitin 2016, por ka vazhduar të funksionojë në vitin 2017. Variantet e reja të Locky, të quajtura Diablo dhe Lukitus, u shfaqën këtë vit, duke përdorur të njëjtin vektor phishing për të synuar shfrytëzimet.
Locky ishte pas skandalit të postës elektronike të postës Australiane. Sipas Komisionit Australian të Konkurrencës dhe Mbrojtjes së Konsumatorit, qytetarët kanë humbur më shumë se 80,000 dollarë për shkak të këtij mashtrimi.
CrySis
Ky shembull shkëlqeu në përdorimin e tij mjeshtëror të Protokollit të Desktopit në distancë (RDP). RDP është një nga më mënyra popullore përhapja e ransomware, pasi kriminelët kibernetikë mund të komprometojnë makinat që kontrollojnë organizata të tëra.
Viktimat e CrySis u detyruan të paguanin midis 455 dhe 1022 dollarë për të rikuperuar skedarët e tyre.
Nemucod
Nemucod përhapet duke përdorur një email phishing që duket si një faturë transporti. Ky ransomware shkarkon skedarë me qëllim të keq të ruajtur në faqet e internetit të komprometuara.
Për sa i përket emaileve të phishing, Nemucod është i dyti vetëm pas Locky.
Jaff
Jaff është i ngjashëm me Locky dhe përdor teknika të ngjashme. Ky ransomware nuk është i shquar për metodat e tij origjinale të shpërndarjes ose enkriptimit të skedarëve; përkundrazi, ai kombinon praktikat më të suksesshme.
Sulmuesit pas tij kërkuan deri në 3700 dollarë për akses në skedarët e koduar.
Spora
Për të përhapur këtë lloj ransomware, kriminelët kibernetikë hakojnë faqet legjitime duke shtuar Kodi JavaScript... Përdoruesit që vizitojnë një sajt të tillë do të marrin një paralajmërim kërcyes që i kërkon të përditësojnë Shfletuesi Chrome për të vazhduar shfletimin e sajtit. Pas shkarkimit të të ashtuquajturës Chrome Font Pack, përdoruesit u infektuan me Spora.
Cerber
Një nga vektorët e shumtë të sulmit që përdor Cerber quhet RaaS (Ransomware-as-a-Service). Sipas kësaj skeme, kriminelët kibernetikë ofrojnë të paguajnë për shpërndarjen e Trojanit, duke premtuar një përqindje të parave të marra për këtë. Ky "shërbim" i lejon kriminelët kibernetikë të dërgojnë ransomware dhe më pas t'u ofrojnë sulmuesve të tjerë mjete për t'i shpërndarë.
Cryptomix
Ky është një nga të paktët ransomware që nuk ka të një lloji të caktuar portali i pagesave i disponueshëm brenda darkweb. Përdoruesit e prekur duhet të presin që kriminelët kibernetikë t'u dërgojnë me email udhëzimet.
Viktimat e Cryptomix ishin përdorues nga 29 vende, ata u detyruan të paguanin deri në 3,000 dollarë.
Jigsaw
Një tjetër malware nga lista që filloi aktivitetin e tij në 2016. Jigsaw fut një imazh të një kllouni nga seria e filmave Saw emailet e padëshiruara... Sapo përdoruesi klikon mbi imazhin, ransomware jo vetëm që kodon, por edhe fshin skedarët në rast se përdoruesi kërkon shumë kohë për të paguar shpërblimin, madhësia e së cilës është 150 dollarë.
konkluzionet
Siç mund ta shohim, kërcënimet moderne përdorin gjithnjë e më shumë shfrytëzime të sofistikuara kundër rrjeteve të mbrojtura mirë. Ndërsa rritja e ndërgjegjësimit të punonjësve mund të ndihmojë në përballimin e ndikimit të infeksioneve, bizneset duhet të shkojnë përtej standardeve bazë të sigurisë kibernetike për të mbrojtur veten. Mbrojtja kundër kërcënimeve të sotme kërkon qasje proaktive që shfrytëzojnë aftësitë e analizës në kohë reale bazuar në një motor mësimi që përfshin të kuptuarit e sjelljes dhe kontekstit të kërcënimeve.
Përveç Interfax-it, dy media të tjera ruse kanë vuajtur nga virusi ransomware, njëra prej të cilave është edicioni i Fontanka në Shën Petersburg, e di Group-IB.
Kryeredaktori i Fontanka, Alexander Gorshkov tha për Vedomosti se serverët e Fontanka u sulmuan nga sulmues të panjohur. Por Gorshkov siguron se nuk flitet për një sulm ransomware në Fontanka: kompjuterët e redaksive janë duke funksionuar, serveri përgjegjës për sitin është hakuar.
Nënndarjet e Interfax në Britaninë e Madhe, Azerbajxhan, Bjellorusi dhe Ukrainë, si dhe faqja e internetit Interfax-Religion, vazhdojnë të funksionojnë, tha Pogorely për Vedomosti. Nuk është e qartë pse dëmi nuk ka prekur departamentet e tjera, ndoshta kjo për shkak të topologjisë së rrjetit Interfax, ku serverët janë të vendosur gjeografikisht dhe me sistemin operativ që është i instaluar në to, thotë ai.
"Interfax" ukrainas të martën pasdite raportoi një sulm hakeri në aeroportin ndërkombëtar të Odessa. Aeroporti në faqen e tij u kërkoi falje pasagjerëve "për rritjen e detyruar të kohës së shërbimit", por duke gjykuar nga tabela e tij në internet, të martën vazhdoi të dërgonte dhe të merrte avionë.
Metroja e Kievit gjithashtu raportoi për sulmin kibernetik në llogarinë e saj në Facebook - kishte probleme me pagesën e tarifave karta bankare... Front News raportoi se metroja u sulmua nga një virus ransomware.
Grupi-IB konkludon se ka një epidemi të re. Në muajt e fundit, dy valë sulmesh ransomware kanë përfshirë botën: Virusi WannaCry, dhe më 27 qershor - Virusi Petya(aka NotPetya dhe ExPetr). Ata depërtuan në kompjuterë nga salla e operacionit Sistemi Windows, ku nuk u instaluan përditësime, kodoi përmbajtjen e disqeve të ngurtë dhe kërkoi 300 dollarë për deshifrim. Siç doli më vonë, Petya nuk kishte ndërmend të deshifronte kompjuterët e viktimave. Sulmi i parë preku qindra mijëra kompjuterë në më shumë se 150 vende, i dyti - 12,500 kompjuterë në 65 vende. Viktima të sulmeve ranë edhe Megafon ruse, Evraz, Gazprom dhe Rosneft. Më të prekur nga virusi qendrat mjekësore Invitro, i cili nuk bëri analiza për pacientët për disa ditë.
Për gati një muaj e gjysmë, Petya arriti të mbledhë vetëm 18 000 dollarë, por dëmi ishte pakrahasueshëm më i madh. Një nga viktimat e tij, gjigandi danez i logjistikës Moller-Maersk, vlerësoi të ardhurat e humbura nga sulmi kibernetik në 200-300 milion dollarë.
Ndër divizionet e Moller-Maersk, goditja kryesore ra në Maersk Line, e cila është e angazhuar në transportin detar të kontejnerëve (në vitin 2016, Maersk Line fitoi gjithsej 20.7 miliardë dollarë, divizioni punëson 31,900 njerëz).
Bizneset u rikuperuan shpejt nga sulmi, por kompanitë dhe rregullatorët mbetën të kujdesshëm. Pra, në gusht, Federale kompania e rrjetit UES (menaxhon gjithë-rusin rrjeti elektrik), dhe disa ditë më vonë bankat ruse morën një paralajmërim të ngjashëm nga FinCERT (struktura e Bankës Qendrore që merret me sigurinë kibernetike).
Sulmi i ri ransomware është vërejtur edhe nga Kaspersky Lab, sipas të cilit shumica e viktimave të sulmit ndodhen në Rusi, por ka infeksione në Ukrainë, Turqi dhe Gjermani. Të gjitha shenjat tregojnë se ky është një sulm i synuar rrjetet e korporatave, thotë Vyacheslav Zakorzhevsky, kreu i departamentit të kërkimit antivirus në Kaspersky Lab: përdoren metoda të ngjashme me mjetet ExPetr, por nuk mund të gjurmohet asnjë lidhje me këtë virus.
Dhe sipas mendimit kompani antivirus Eset, ransomware është ende një i afërm i Petya. Sulmi përdori malware Diskcoder.D, i cili është modifikim i ri kodues.
Pogorely tha se antivirus Symantec ishte instaluar në kompjuterët e Interfax. Përfaqësuesit e Symantec nuk iu përgjigjën kërkesës së Vedomostit dje.
15.05.2017, Hënë, 13:33, ora e Moskës, Teksti: Pavel Pritula
Kohët e fundit, një nga sulmet kibernetike më të mëdha dhe më "të zhurmshme", duke gjykuar nga shtypi, ndodhi në Rusi: rrjetet e disa departamenteve dhe organizatave kryesore, përfshirë Ministrinë e Punëve të Brendshme, u sulmuan nga kriminelët kibernetikë. Virusi kodonte të dhënat në kompjuterët e punonjësve dhe zhvaste shuma të mëdha parash në mënyrë që ata të mund të vazhdonin punën e tyre. Ky është një shembull i qartë i faktit se askush nuk është i imunizuar nga ransomware. Sidoqoftë, ky kërcënim mund të luftohet - ne do të tregojmë disa mënyra që ofron Microsoft.
Çfarë dimë për ransomware? Duket se këta janë kriminelë që kërkojnë para ose gjëra nga ju nën kërcënimin e pasojave të pafavorshme. Në biznes, kjo ndodh herë pas here, të gjithë kanë një ide të përafërt se si të veprojnë në situata të tilla. Por, çka nëse një virus ransomware është vendosur në kompjuterët tuaj të punës, bllokon aksesin në të dhënat tuaja dhe ju kërkon të transferoni para te persona të caktuar në këmbim të një kodi zhbllokimi? Duhet të kontaktoni specialistët e sigurisë së informacionit. Dhe është më mirë ta bëni këtë para kohe për të shmangur problemet.
Numri i krimeve kibernetike është rritur me një rend të përmasave vitet e fundit. Sipas hulumtimit SentinelOne, gjysma e kompanive janë më të mëdhatë vendet evropianeështë sulmuar nga viruse ransomware, ku më shumë se 80% e tyre janë viktima tre ose më shumë herë. Një pamje e ngjashme vërehet në mbarë botën. Kompania e sigurisë së informacionit Clearswift emëron një lloj shteti "top" më të prekur nga ransomware - ransomware: Shtetet e Bashkuara, Rusia, Gjermania, Japonia, Britania e Madhe dhe Italia. Me interes të veçantë për sulmuesit janë të vegjël dhe biznesi i mesëm sepse ata kanë më shumë para dhe të dhëna më të ndjeshme se individët dhe nuk kanë shërbimet e fuqishme të sigurisë që bëjnë kompanitë e mëdha.
Çfarë duhet të bëni dhe, më e rëndësishmja, si të parandaloni një sulm ransomware? Së pari, le të vlerësojmë vetë kërcënimin. Sulmi mund të kryhet në disa mënyra. Një nga më të zakonshmet - Email... Kriminelët përdorin në mënyrë aktive metoda Inxhinieri sociale, efektiviteti i të cilit nuk është ulur fare që nga ajo kohë haker i famshëm Shekulli XX nga Kevin Mitnick. Ata mund të telefonojnë një punonjës të kompanisë së viktimës në emër të një pale të vërtetë dhe, pas bisedës, të dërgojnë një letër me një bashkëngjitje që përmban një skedar me qëllim të keq. Punonjësi sigurisht që do ta hapë sepse sapo foli me dërguesin në telefon. Ose llogaritari mund të marrë një letër gjoja nga shërbimi përmbarimor ose nga banka që i shërben kompanisë së tij. Askush nuk është i siguruar, madje edhe Ministria e Punëve të Brendshme nuk vuan për herë të parë: disa muaj më parë, hakerët dërguan një faturë të rreme nga Rostelecom në departamentin e kontabilitetit të Drejtorisë Lineare Kazan të Ministrisë së Punëve të Brendshme me një virus ransomware që bllokoi sistemin e kontabilitetit.
Burimi i infeksionit mund të jetë një faqe phishing, në të cilën përdoruesi ka hyrë nëpërmjet një lidhjeje mashtruese, ose një flash drive "i harruar aksidentalisht" nga një prej vizitorëve të zyrës. Gjithnjë e më shpesh, infeksioni ndodh përmes pajisjeve mobile të pambrojtura të punonjësve, nga të cilat ata fitojnë akses në burimet e korporatës. Dhe antivirusi mund të mos funksionojë: qindra dihen malware duke anashkaluar programet antivirus, për të mos përmendur sulmet e ditës zero që shfrytëzojnë vrimat e sapohapura software.
Çfarë është ransomware?
Një program i njohur si ransomware, ransomware, ransomware bllokon aksesin e përdoruesit në sistemin operativ dhe zakonisht kodon të gjitha të dhënat në hard disk. Në ekran shfaqet një mesazh se kompjuteri është i kyçur dhe pronari është i detyruar t'i transferojë sulmuesit një shumë të madhe parash nëse ai dëshiron të rimarrë kontrollin mbi të dhënat. Më shpesh, një numërim mbrapsht 2-3 ditë aktivizohet në ekran në mënyrë që përdoruesi të nxitojë, përndryshe përmbajtja e diskut do të shkatërrohet. Në varësi të oreksit të kriminelëve dhe madhësisë së kompanisë, shumat e shpërblimit në Rusi variojnë nga disa dhjetëra në disa qindra mijëra rubla.
Llojet e Ransomware
Burimi: Microsoft, 2017
Këto programe keqdashëse njihen prej shumë vitesh, por në dy-tre vitet e fundit kanë përjetuar një lulëzim të vërtetë. Pse? Së pari, sepse njerëzit paguajnë kriminelët kibernetikë. Sipas Kaspersky Lab, 15% e kompanive ruse të sulmuara në këtë mënyrë preferojnë të paguajnë shpërblimin, dhe 2/3 e kompanive në botë që i nënshtrohen një sulmi të tillë kanë humbur plotësisht ose pjesërisht të dhënat e tyre të korporatës.
Së dyti, mjetet e kriminelëve kibernetikë janë bërë më të sofistikuara dhe më të arritshme. Dhe e treta - përpjekjet e pavarura të viktimës për të "menduar fjalëkalimin" nuk përfundojnë mirë, dhe policia rrallë mund të gjejë kriminelë, veçanërisht gjatë numërimit mbrapsht.
Meqe ra fjala. Jo të gjithë hakerët e kalojnë kohën e tyre duke u përpjekur t'i japin një fjalëkalim një viktimë që i ka transferuar shumën e kërkuar.
Cili është problemi i biznesit
Problemi kryesor në fushën e sigurisë së informacionit për bizneset e vogla dhe të mesme në Rusi është se ata nuk kanë para për mjete të fuqishme të specializuara të sigurisë së informacionit, dhe ata nuk kanë sisteme IT dhe punonjës me të cilët mund të lloje te ndryshme incidentet janë më se të mjaftueshme. Për të luftuar ransomware, nuk mjafton të kesh vetëm mure zjarri të konfiguruara, antivirus dhe politika sigurie. Ju duhet të përdorni gjithçka fondet në dispozicion, kryesisht i ofruar nga shitësi i sistemit operativ, sepse është i lirë (ose i përfshirë në koston e OS) dhe është 100% i pajtueshëm me softuerin e tij.
Shumica dërrmuese kompjuterët e klientit dhe një pjesë e konsiderueshme e serverëve drejtojnë OS Microsoft Windows... Të gjithë i dinë veçoritë e integruara të sigurisë si p.sh. Windows mbrojtës"Dhe" Windows Firewall ", i cili, së bashku me përditësimet më të fundit të OS dhe të drejtat e kufizuara të përdoruesit, ofrojnë një nivel të duhur sigurie për një punonjës të zakonshëm në mungesë të mjeteve të specializuara.
Por e veçanta e marrëdhënies mes biznesit dhe kriminelëve kibernetikë është se të parët shpesh nuk janë të vetëdijshëm se po sulmohen nga këta të fundit. Ata mendojnë se janë të mbrojtur, por në fakt, malware tashmë ka depërtuar në perimetrin e rrjetit dhe po e kryen në heshtje punën e tyre - në fund të fundit, jo të gjithë sillen aq paturpësisht sa Trojans ransomware.
Microsoft ka ndryshuar qasjen e tij për të garantuar sigurinë: tani ai ka zgjeruar linjën e tij të produkteve të sigurisë së informacionit, dhe gjithashtu fokusohet jo vetëm në bërjen e kompanisë sa më të sigurt nga sulmet moderne, por edhe për të bërë të mundur hetimin e tyre nëse një infeksion bën ndodhin.
Mbrojtja e postës
Sistemi i postës si kanali kryesor depërtimi i kërcënimeve në rrjetin e korporatës duhet të mbrohet në mënyrë shtesë. Për ta bërë këtë, Microsoft ka zhvilluar sistemin Exchange ATP (Advanced Treat Protection), i cili analizon bashkëngjitjet e postës elektronike ose lidhjet e internetit dhe u përgjigjet në kohën e duhur sulmeve të zbuluara. Kjo produkt i veçantë, integrohet me Microsoft Exchange dhe nuk ka nevojë të vendoset në çdo makinë klient.
Exchange ATP madje mund të zbulojë sulmet e ditës zero sepse lëshon të gjitha bashkëngjitjet në një sandbox të veçantë pa i lëshuar ato në sistemin operativ dhe analizon sjelljen e tyre. Nëse nuk përmban shenja sulmi, atëherë bashkëngjitja konsiderohet e sigurt dhe përdoruesi mund ta hapë atë. Një skedar potencialisht me qëllim të keq dërgohet në karantinë dhe administratori njoftohet për të.
Sa i përket lidhjeve në letra, ato gjithashtu kontrollohen. Exchange ATP zëvendëson të gjitha lidhjet e ndërmjetme. Përdoruesi klikon në lidhjen në letër, kalon në lidhjen e ndërmjetme dhe në këtë moment sistemi kontrollon adresën për siguri. Kontrolli është aq i shpejtë sa përdoruesi nuk e vëren vonesën. Nëse lidhja çon në një faqe ose skedar të infektuar, sa vijon është e ndaluar.
Si funksionon Exchange ATP
Burimi: Microsoft, 2017
Pse kontrolli bëhet në kohën e klikimit, dhe jo kur merret letra - në fund të fundit, atëherë ka më shumë kohë për kërkime dhe, për rrjedhojë, do të kërkohet më pak fuqi llogaritëse? Kjo është bërë posaçërisht për të mbrojtur kundër mashtrimit të kriminelëve kibernetikë për të zëvendësuar përmbajtjen e lidhjeve. Shembull tipik: letër për kuti postare vjen natën, sistemi kontrollon dhe nuk zbulon asgjë, dhe deri në mëngjes faqja e ka postuar tashmë këtë lidhje, për shembull, një skedar me një trojan që përdoruesi shkarkon në mënyrë të sigurt.
Dhe pjesa e tretë e shërbimit Exchange ATP është sistemi i integruar i raportimit. Ai ju lejon të hetoni incidentet që kanë ndodhur dhe ofron të dhëna për t'iu përgjigjur pyetjeve: kur ka ndodhur infeksioni, si dhe ku ka ndodhur. Kjo ju lejon të gjeni burimin, të përcaktoni dëmin dhe të kuptoni se çfarë ishte: një goditje aksidentale ose një sulm i synuar dhe i synuar kundër kësaj kompanie.
Ky sistem është gjithashtu i dobishëm për parandalimin. Për shembull, një administrator mund të ngrejë statistika se sa klikime ka pasur në lidhjet e shënuara si të rrezikshme dhe kush nga përdoruesit e ka bërë këtë. Edhe nëse infeksioni nuk ka ndodhur, është ende e nevojshme të kryhet një punë shpjeguese me këta punonjës.
Vërtetë, ka kategori punonjësish që detyrohen nga përgjegjësitë e punës të vizitojnë një sërë faqesh - për shembull, tregtarë që hulumtojnë tregun. Për ta, teknologjitë e Microsoft ju lejojnë të konfiguroni politikën në mënyrë që çdo skedar i shkarkuar të skanohet në "sandbox" përpara se të ruhet në kompjuter. Për më tepër, rregullat vendosen në vetëm disa klikime.
Mbrojtja e kredencialeve
Një nga objektivat e sulmeve me qëllim të keq janë kredencialet e përdoruesve. Ka shumë teknologji për vjedhjen e emrave të përdoruesve dhe fjalëkalimeve të përdoruesve, dhe atyre duhet t'u rezistohet një mbrojtje e fortë. Ka pak shpresë për vetë punonjësit: ata vijnë me fjalëkalime të thjeshta, përdorni një fjalëkalim për të hyrë në të gjitha burimet dhe shkruajini ato në një ngjitëse që është ngjitur në monitor. Ju mund ta luftoni këtë masat administrative dhe vendosjen e kërkesave programatike për fjalëkalimet, por ende nuk do të ketë efekt të garantuar.
Nëse një kompani kujdeset për sigurinë, të drejtat e aksesit janë të diferencuara në të dhe, për shembull, një inxhinier ose një menaxher shitjesh nuk mund të hyjë në serverin e kontabilitetit. Por hakerat kanë një mashtrim më shumë në rezervë: ata mund t'i dërgojnë një letër nga llogaria e kapur e një punonjësi të zakonshëm tek specialisti i synuar që zotëron informacionin e nevojshëm (të dhënat financiare ose sekretet tregtare). Pasi të ketë marrë një letër nga një "koleg", adresuesi do ta hapë atë qind për qind dhe do të nisë bashkëngjitjen. Dhe ransomware do të ketë akses në të dhëna të vlefshme për kompaninë, për kthimin e të cilave kompania mund të paguajë shumë para.
Për t'u kapur Llogaria nuk u dha sulmuesve mundësinë për të depërtuar sistemi i korporatës Microsoft sugjeron mbrojtjen e tij me Authentication Multifactor Azure. Kjo do të thotë, për të hyrë, duhet të futni jo vetëm një çift emër përdoruesi / fjalëkalim, por edhe një kod PIN të dërguar në SMS, njoftim Push, të krijuar nga një aplikacion celular, ose t'i përgjigjeni një telefonate robotit. Veçanërisht e dobishme vërtetimi me shumë faktorë kur punoni me punonjës të largët të cilët mund të hyjnë në sistemin e korporatës nga pjesë të ndryshme të botës.
Autentifikimi me shumë faktorë Azure
Ky artikull është përgatitur në lidhje me sulm hakeri karakter masiv në shkallë globale që mund të prekë edhe ju. Pasojat janë vërtet të rënda. Më poshtë do të gjeni Përshkrim i shkurtër problemet dhe një përshkrim të masave kryesore që duhen marrë për t'u mbrojtur kundër ransomware të familjes WannaCry.
Virusi ransomware WannaCry shfrytëzon cenueshmërinë Microsoft Windows MS17-010 për të ekzekutuar kod me qëllim të keq dhe ekzekutoni programin e enkriptimit në kompjuterë të cenueshëm, më pas virusi ofron t'i paguajë kriminelët kibernetikë rreth 300 dollarë për të deshifruar të dhënat. Virusi është përhapur gjerësisht në shkallë globale, duke marrë mbulim aktiv në media - Fontanka.ru, Gazeta.ru, RBK.
Kjo dobësi prek PC-të që përdorin Windows nga XP në Windows 10 dhe Server 2016, mund të lexoni informacionin zyrtar rreth dobësisë nga Microsoft dhe.
Kjo dobësi i përket klasës Ekzekutimi i kodit në distancë, që do të thotë se infeksioni mund të kryhet nga një PC tashmë i infektuar nëpërmjet një rrjeti me nivel i ulët siguri pa segmentim ME - rrjetet lokale, rrjetet publike, rrjetet e mysafirëve, si dhe duke lëshuar malware të marrë me postë ose në formën e një lidhjeje.
Masat e sigurisë
Cilat masa duhen identifikuar si efektive për të luftuar këtë virus:
- Sigurohuni që keni përditësimet më të fundit të Microsoft Windows që adresojnë cenueshmërinë MS17-010. Ju mund të gjeni lidhje me përditësimet, dhe gjithashtu vini re se për shkak të ashpërsisë së paparë të kësaj dobësie - më 13 maj, përditësimet u lëshuan për OS të pambështetur (windowsXP, server 2003, server 2008), mund t'i shkarkoni.
- Përdorimi i zgjidhjeve për të ofruar siguria e rrjetit Klasa IPS, sigurohuni që të keni përditësime që përfshijnë zbulimin dhe kompensimin cenueshmëria e rrjetit... Kjo dobësi përshkruhet në bazën e njohurive të pikës së kontrollit dhe përfshihet në përditësimin IPS të 14 marsit 2017 për ekzekutimin e kodit në distancë të Microsoft Windows SMB (MS17-010: CVE-2017-0143). Ne ju rekomandojmë gjithashtu që të konfiguroni skanimin IPS të trafikut të brendshëm të segmenteve kryesore të rrjetit, të paktën për një kohë të shkurtër, derisa gjasat e infeksionit të ulen.
- Për shkak të mundësisë së ndryshimit të kodit të virusit, ne rekomandojmë aktivizimin e sistemeve AntiBot & Antivirus dhe imitimin e nisjes së skedarëve që vijnë nga burimet e jashtme me postë ose internet. Nëse jeni përdorues i Check Point Security Gateway, atëherë ky sistem është Threat Emulation. Sidomos për kompanitë që nuk e kanë këtë abonim, ne ofrojmë ta lëshojnë shpejt atë brenda një periudhe prove prej 30 ditësh. Për të kërkuar një çelës që aktivizon një abonim me funksione të plota për portën tuaj të Check Point - shkruani në postë [email i mbrojtur] Mund të lexoni më shumë rreth sistemeve të emulimit të skedarëve dhe.
Edhe më shumë rekomandime dhe një shembull i një raporti për bllokimin e punës së ransomware-it të pakëndshëm.
Të dashur kolegë, bazuar në përvojën e punës me sulme masive të mëparshme, si Heart Bleed, cenueshmëria e Microsoft Windows MS17-010 do të shfrytëzohet në mënyrë aktive gjatë 30-40 ditëve të ardhshme, mos vononi kundërmasat! Për çdo rast, kontrolloni që sistemi juaj BackUp të funksionojë.
Rreziku është vërtet i madh!
UPD. Të enjten, më 18 maj, në orën 10:00 me orën e Moskës, ju ftojmë në një webinar mbi ransomware dhe metodat e mbrojtjes.
Webinari organizohet nga TS Solution dhe Sergey Nevstruev, Menaxher i Shitjeve për Parandalimin e Kërcënimeve të Pikave të Kontrollit në Evropën Lindore.
Ne do të mbulojmë çështjet e mëposhtme:
- Sulmi #WannaCry
- Shkalla dhe statusi aktual
- Veçoritë
- Faktorët masiv
Si të qëndroni një hap përpara dhe të flini mirë
- IPS + AM
- SandBlast: Emulation Threat dhe Threat Extraction
- Agjenti SandBlast: Anti-Ransomware
- Agjenti SandBlast: Forensics
- SandBlast Agent: Anti-Bot
Sulmet e viruseve të ransomware, rrjedhjet e mjeteve të hakerëve të shërbimeve speciale amerikane, testimi i fuqisë së objekteve energjetike, sulmet ndaj ICO-ve dhe vjedhja e parë e suksesshme e parave nga Banka ruse me sistemin SWIFT - viti 2017 që po largohet ishte plot surpriza të pakëndshme. Jo të gjithë ishin gati për ta. Përkundrazi, e kundërta është e vërtetë. Krimi kibernetik po bëhet më i shpejtë dhe më i madh. Hakerat pro-qeveritare nuk janë më thjesht spiunë, ata vjedhin para dhe organizojnë sabotim kibernetik.
Çdo kundërveprim ndaj kërcënimeve kibernetike është gjithmonë një konkurrencë midis armaturës dhe një predheje. Dhe ngjarjet e këtij viti kanë treguar se shumë kompani dhe madje shtete janë inferiore ndaj kriminelëve kibernetikë. Sepse nuk e dinë kush është armiku, si vepron dhe ku të presin goditja e radhës... Shumica e sulmeve duhet të parandalohen në fazën e përgatitjes së tyre duke përdorur teknologjitë e paralajmërimit të hershëm të Inteligjencës së Kërcënimit. Të jesh disa hapa përpara kriminelëve kibernetikë do të thotë të kursesh paratë, informacionin dhe reputacionin tënd.
Viruset ransomware
Më të përhapurit, si për sa i përket shpërndarjes ashtu edhe dëmtimit në vitin 2017, ishin sulmet kibernetike duke përdorur viruse ransomware. Pas tyre qëndrojnë hakerat pro-qeveritare. Le t'i kujtojmë ato me emra.
Pasojat e sulmit të WonnaCry: supermarketi Rost, Kharkiv, Ukrainë.
Lazarus (i njohur edhe si Banda e Errët e Seulit) është emri i një grupi hakerësh të Koresë së Veriut që dyshohet se qëndron pas Bureau 121, një nga njësitë e Drejtorisë së Inteligjencës të Shtabit të Përgjithshëm të KPA (DPRK) përgjegjëse për kryerjen e operacioneve kibernetike. Për shumë vite, hakerat nga grupi koreano-verior Lazarus spiunuan armiqtë ideologjikë të regjimit - agjencitë qeveritare dhe korporatat private në Shtetet e Bashkuara dhe Korenë e Jugut. Tani Lazarus po sulmon bankat dhe institucionet financiare në mbarë botën: në llogarinë e tyre një përpjekje për të vjedhur pothuajse 1 miliard dollarë nga banka qendrore e Bangladeshit në shkurt 2016, sulme ndaj bankave në Poloni, si dhe punonjës të Bankës Qendrore të Rusisë. Federata, Banka Qendrore e Venezuelës, Banka Qendrore e Brazilit, Banka Qendrore e Kilit dhe një përpjekje për të tërhequr nga Banka Ndërkombëtare e Lindjes së Largët 60 milionë dollarë (shih seksionin "Sulme të synuara ndaj bankave"). Në fund të vitit 2017, hakerat e Koresë së Veriut u vunë re në sulme ndaj shërbimeve të kriptomonedhave dhe sulme duke përdorur Trojans celularë.
Trendi i Vitit
Më 24 tetor, një sulm kibernetik në shkallë të gjerë me përdorimin e virusit të enkriptimit BadRabbit ndodhi në Ukrainë dhe Rusi. Virusi sulmoi kompjuterët dhe serverët e Metrosë së Kievit, Ministrisë së Infrastrukturës, Aeroporti ndërkombëtar"Odessa". Disa viktima përfunduan edhe në Rusi - si pasojë e sulmit u plagosën redaksia e mediave federale, si dhe u regjistruan fakte të përpjekjeve për të infektuar infrastrukturat bankare. Grupi i Energjisë së Zezë qëndron pas sulmit, siç ka vendosur Group-IB.
Sulme të synuara ndaj bankave
Grupet kriminale që sulmuan bankat ruse në pranverën dhe verën e 2017 e kthyen vëmendjen e tyre drejt vendeve dhe rajoneve të tjera: Shtetet e Bashkuara, Evropë, Amerikën Latine, Azi dhe Lindjen e Mesme. Në fund të vitit ata filluan sërish punën në Rusi.
Në vitin 2017, hakerat pro-qeveritare ndryshuan qëllimet e tyre - ata filluan të kryejnë sabotim kibernetik në sektorin financiar. Për të spiunuar ose vjedhur para, krisurat përpiqen të kenë akses në SWIFT, përpunimi i kartave. Në pranverën e këtij viti, grupi BlackEnergy hakoi një integrues në Ukrainë dhe fitoi akses në një rrjet bankash ukrainase. Nja dy muaj më vonë, filloi epidemia WannyCry dhe NotPetya, pas së cilës janë grupet Lazarus dhe BlackEnergy.
Sidoqoftë, në fillim të tetorit, kur ekipi i Group-IB paraqiti raportin e tij vjetor, ne ishim plot optimizëm të përmbajtur: sulmet e synuara ndaj bankave në Rusi ranë me 33%. Të gjitha grupet kriminale që sulmuan bankat ruse gradualisht e kthyen vëmendjen e tyre drejt vendeve dhe rajoneve të tjera: SHBA, Evropë, Amerikë Latine, Azi dhe Lindjen e Mesme. Fundi i vitit prishi statistikat - ne regjistruam një numër sulmesh kibernetike ndaj bankave, në dhjetor pati sulmin e parë të suksesshëm në Banka ruse me SWIFT të realizuar nga grupi Cobalt.
Sulmet ndaj SWIFT
Në tetor, Banka Ndërkombëtare e Lindjes së Largët të Tajvanit u grabit. Pasi arritën në sistemin e transfertave ndërkombëtare ndërbankare (SWIFT), me të cilin ishte lidhur banka, hakerët ishin në gjendje të tërhiqnin pothuajse 60 milion dollarë në llogaritë në Sri Lanka, Kamboxhia dhe Shtetet e Bashkuara. Pas sulmit qëndron grupi Lazarus. Në nëntor, banka më e madhe joshtetërore e Nepalit, NIC Asia Bank, u vu në shënjestër të kriminelëve kibernetikë që fituan akses në sistemin SWIFT dhe tërhoqën 4.4 milion dollarë në llogaritë në Shtetet e Bashkuara, Britaninë e Madhe, Japoni dhe Singapor.
Në mes të dhjetorit, u bë e ditur për një sulm të suksesshëm ndaj një banke ruse duke përdorur SWIFT (sistemi ndërkombëtar i transferimit të informacionit financiar). Kujtojmë se më herët në Rusi sulmet e synuara u kryen duke përdorur sisteme të përpunimit të kartave, ATM dhe AWP KBR (stacion i automatizuar i punës për një klient të një Banke të Rusisë).
Grupi Cobalt ndoshta ishte i përfshirë në sulm. Infiltrimi i bankës ndodhi përmes malware që u dërgua në banka nga grupi disa javë më parë - një metodë sulmi që është tipike për Cobalt. Mediat raportuan se kriminelët u përpoqën të vidhnin rreth 1 milion dollarë, por arritën të tërhiqnin rreth 10%. FinCERT, një divizion strukturor i Bankës Qendrore për sigurinë e informacionit, në raportin e tij e quajti grupin Cobalt kërcënimin kryesor për institucionet e kreditit.
Sipas Group-IB, grupi ka të paktën 50 sulme të suksesshme ndaj bankave në mbarë botën: në Rusi, Britaninë e Madhe, Holandë, Spanjë, Rumani, Bjellorusi, Poloni, Estoni, Bullgari, Gjeorgji, Moldavi, Kirgistan, Armeni, Tajvan. dhe Malajzia... Gjatë gjithë verës dhe vjeshtës, ata sulmuan bankat në të gjithë botën, testuan mjete dhe skema të reja dhe në fund të vitit nuk ulën qarkullimin e tyre - pothuajse çdo javë ne regjistrojmë postimet e tyre me malware brenda.
Pandjeshmëria dhe skriptet me qëllim të keq janë një parim i ri (dhe tani kryesor) i sulmeve. Hakerët përpiqen të qëndrojnë pa u vënë re dhe për këtë përdorin programe "të papërshtatshme" që funksionojnë vetëm në RAM dhe shkatërrohen pas një rindezjeje. Për më tepër, skriptet në PowerShell, VBS, PHP i ndihmojnë ata të sigurojnë qëndrueshmëri (ngushtim) në sistem, si dhe të automatizojnë disa faza të sulmit. Vëmë re gjithashtu se hakerët nuk sulmojnë bankat kokë më kokë, por përmes partnerëve të besuar - integrues, kontraktorë. Ata sulmojnë punonjësit kur janë në shtëpi, kontrollojnë postën e tyre personale, rrjetet sociale
Trendi i Vitit
Zbulimi i Vitit: MoneyTaker
10 fakte interesante në lidhje me MoneyTaker
- Viktimat e tyre ishin banka të vogla - në Rusi, rajonale, në Shtetet e Bashkuara - banka të komunitetit me një nivel të ulët mbrojtjeje. Hakerët hynë në një nga bankat ruse përmes kompjuterit shtëpiak të administratorit të sistemit.
- Një nga bankat amerikane tashmë është hakuar dy herë.
- Pasi përfunduan një sulm të suksesshëm, ata vazhduan të spiunonin punonjësit e bankës duke përcjellë letrat hyrëse në Yandex dhe Mail.ru.
- Ky grup gjithmonë ka shkatërruar gjurmë pas një sulmi.
- Ata u përpoqën të tërhiqnin para nga një bankë ruse përmes ATM-ve, por nuk funksionuan - pak para kësaj, Banka Qendrore ia hoqi licencën pronarit të tyre. Tërhequr para përmes AWS KBR.
- Ata vodhën jo vetëm para, por edhe dokumente të brendshme, udhëzime, rregullore, regjistra transaksionesh. Duke gjykuar nga dokumentet e vjedhura që lidhen me punën e SWIFT, hakerët po përgatisin sulme ndaj objekteve në Amerikën Latine.
- Në disa raste, hakerët bënë ndryshime në kodin e programit "në fluturim" - pikërisht gjatë sulmit.
- Sulmuesit përdorën skedarin SLRSideChannelAttack.exe., i cili u postua në akses publik Kërkuesit.
- MoneyTaker përdori mjete të disponueshme publikisht, me qëllim fshehu çdo element të atribuimit, duke preferuar të qëndrojë në hije. Autori i programeve është një - kjo mund të shihet nga gabime tipike, të cilët enden nga një program i vetë-shkruar në tjetrin.
Rrjedhjet e mjeteve të hakerimit të shërbimeve speciale
Shfrytëzimet nga rrjedhjet nga NSA dhe CIA filluan të përdoren në mënyrë aktive për të kryer sulme të synuara. Ata tashmë janë përfshirë në mjetet kryesore për kryerjen e testimit të penetrimit të hakerëve të motivuar financiarisht dhe disa proqeveritar.
WikiLeaks dhe Vault7
Gjatë gjithë vitit, WikiLeaks zbuloi në mënyrë metodike sekretet e CIA-s, duke publikuar informacione për mjetet e hakerëve të shërbimeve speciale si pjesë e projektit Vault 7. Një prej tyre - CherryBlossom ("Cherry Blossom") ju lejon të gjurmoni vendndodhjen dhe aktivitetin e internetit të përdoruesve të lidhur me router wireless Wi-Fi. Këto pajisje përdoren zakonisht në shtëpi, zyra, restorante, bare, hotele, aeroporte dhe agjenci qeveritare. WikiLeaks madje zbuloi teknologjinë e spiunimit të CIA-s ndaj kolegëve nga FBI, BIV, NSA. Kontrolli shërbimet teknike(OTS) në CIA ka zhvilluar softuerin spiun ExpressLane për të nxjerrë fshehurazi të dhëna nga një sistem grumbullimi i të dhënave biometrike që CIA u shpërndan kolegëve të saj në komunitetin e inteligjencës amerikane. Pak më parë, WikiLeaks zbuloi informacione në lidhje me malware-in Pandemic të krijuar për të hakuar kompjuterët nga dosje të përbashkëta, dhe ELSA, e cila gjithashtu gjurmon vendndodhjen gjeografike të pajisjeve me Wi-Fi dhe ju lejon të gjurmoni zakonet e përdoruesve. Wikileaks filloi serinë Vault-7 në shkurt 2017. Rrjedhjet përmbanin informacione që përshkruanin dobësitë e softuerit, mostrat e malware dhe teknikat për kryerjen e sulmet kompjuterike.
Mjetet e hakerimit nga një burim tjetër po aq i popullarizuar - rrjedhjet e NSA-së të publikuara nga grupi Shadow Brokers - jo vetëm që kërkoheshin shumë, por gjithashtu u përmirësuan dhe rafinuan. Një skenar është shfaqur në forume nëntokësore për të automatizuar kërkimin e makinave me një dobësi në protokollin SMB, bazuar në shërbimet e shërbimeve speciale amerikane të publikuara nga grupi Shadow Brokers në prill të këtij viti. Si rezultat i rrjedhjes, programi fuzzbunch dhe shfrytëzimi ETERNALBLUE përfunduan në akses i hapur, por pas përfundimit të rishikimit, produkti plotësisht i përfunduar thjeshton procesin e sulmit për kriminelët kibernetikë.
Kujtojmë se ishte protokolli SMB që u përdor nga ransomware WannaCry për të infektuar qindra mijëra kompjuterë në 150 vende të botës. Një muaj më parë, krijuesi i motorit të kërkimit Sistemet Shodan John Matherly tha se 2,306,820 pajisje me portet e hapura për akses nëpërmjet protokollit SMB. 42% (rreth 970 mijë) prej tyre ofrojnë akses për mysafirët, pra kushdo që dëshiron të përdorë Protokolli SMB mund të aksesojë të dhënat pa autorizim.
Në verë, grupi Shadow Brokers premtoi të publikonte shfrytëzime të reja për abonentët e tyre çdo muaj, duke përfshirë për ruterat, shfletuesit, pajisjet celulare, të dhënat e komprometuara nga rrjetet bankare dhe SWIFT, informacione rreth programeve bërthamore dhe raketore. Të frymëzuar nga vëmendja, Shadow Brokers ngritën çmimin fillestar të abonimit nga 100 monedha Zcash (rreth 30,000 dollarë) në 200 monedha Zcash (rreth 60,000 dollarë). Statusi i pajtimtarit VIP kushton 400 monedha Zcash dhe ju lejon të merrni shfrytëzime me porosi.
Sulmet kritike të infrastrukturës
Sektori i energjisë është bërë një terren testimi për kërkimin e armëve të reja kibernetike. Grupi kriminal BlackEnergy vazhdon të sulmojë kompanitë financiare dhe energjitike. Mjetet në dispozicion të tyre lejojnë kontrollin në distancë të njësive të terminalit në distancë (RTU), të cilat janë përgjegjëse për hapjen/mbylljen fizike të rrjetit të energjisë.
Virusi i parë që çaktivizoi në fakt harduerin ishte Stuxnet, i përdorur nga Grupi i Equation (Five Eyes / Tilded Team). Në vitin 2010, virusi hyri në sistemin e fabrikës iraniane të pasurimit të uraniumit në Nathan dhe infektoi kontrollorët SIMATIC S7 Siemens, të cilët rrotullonin centrifugat e mbushura me uranium me një frekuencë prej 1000 rrotullimesh në sekondë. Stuxnet i ktheu rotorët e centrifugës deri në 1400 rrotullime, kështu që ata filluan të dridhen dhe të shemben. Nga 5000 centrifuga të instaluara në sallë, rreth 1000 dolën jashtë funksionit. Programi bërthamor iranian është rikthyer pas disa vitesh.
Pas këtij sulmi, pati një qetësi për disa vite. Doli se gjatë gjithë kësaj kohe hakerët po kërkonin një mundësi për të ndikuar në ICS dhe për t'i çaktivizuar ato kur ishte e nevojshme. Grupi i Energjisë së Zezë, i njohur gjithashtu si Sandworm, ka avancuar më tej në këtë drejtim.
Sulmi i tyre testues në një nënstacion ukrainas në fund të vitit të kaluar tregoi se çfarë është në gjendje një grup i ri mjetesh të quajtur Industroyer ose CRASHOVERRIDE. Në konferencën Black Hat, softueri i Industroyer u emërua "kërcënimi më i madh për sistemet e kontrollit industrial që nga Stuxnet". Për shembull, mjetet BlackEnergy ju lejojnë të kontrolloni në distancë njësitë e terminalit në distancë (RTU), të cilat janë përgjegjëse për hapjen/mbylljen fizike të rrjetit. Të armatosur me mjete të tilla, hakerët mund ta kthejnë atë në një armë të frikshme kibernetike që do të lërë qytete të tëra pa dritë dhe ujë.
Problemet mund të lindin jo vetëm në Ukrainë: sulme të reja ndaj sistemeve të energjisë në korrik u regjistruan në Mbretërinë e Bashkuar dhe Irlandë. Nuk ka pasur ndërprerje në funksionimin e rrjeteve të energjisë, por ekspertët besojnë se hakerët mund të vjedhin fjalëkalimet e sistemeve të sigurisë. Në Shtetet e Bashkuara, pas dërgimit të emaileve me qëllim të keq për punonjësit e kompanive të energjisë, FBI paralajmëroi kompanitë për sulme të mundshme kibernetike.
Sulmet ICO
Për një kohë të gjatë bankat dhe klientët e tyre ishin qëllimi kryesor kriminelët kibernetikë. Por tani ata kanë konkurrentë të fortë përballë ICO-ve dhe startupeve të blockchain - gjithçka që lidhet me kriptovalutat tërheq vëmendjen e hakerëve.
ICO (Initial Coin Offering) është ëndrra e çdo hakeri. Një sulm i shpejtë i rrufeshëm, shpesh mjaft i thjeshtë ndaj shërbimeve të kriptomonedhave dhe startup-eve të blockchain gjeneron miliona dollarë fitim me rrezik minimal për kriminelët. Sipas Chainalysis, hakerët arritën të vidhnin 10% të të gjitha fondeve të investuara në projektet ICO në 2017 në Ethereum. Dëmi total arriti në pothuajse 225 milion dollarë, 30,000 investitorë humbën mesatarisht 7,500 dollarë.
Ne analizuam rreth njëqind sulme ndaj projekteve blockchain (shkëmbime, shkëmbyes, kuleta, fonde) dhe arritëm në përfundimin se pjesa më e madhe e problemeve qëndron në cenueshmërinë e vetë kriptoshërbimeve duke përdorur teknologjinë blockchain. Në rastin e Ethereum, nuk u vërejtën probleme me vetë platformën, por me shërbimet e kriptos: ata u përballën me dobësi në kontratat e tyre inteligjente, prishje, llogari të komprometuara të administratorëve (Slack, Telegram), faqe phishing që kopjojnë përmbajtjen e faqeve të internetit të kompanive. duke hyrë në ICO.
Ka disa dobësi:
- Faqet e phishing janë klone të burimit zyrtar
- Dobësitë e faqes / aplikacionit në ueb
- Sulmet përmes punonjësve të kompanisë
- Sulmet e infrastrukturës së TI-së
Vjedhja e parave duke përdorur Trojans Android
Tregu për trojanët bankar Android është dëshmuar të jetë tregu më dinamik dhe në rritje. Dëme nga Trojans bankar për Android në Rusi u rrit me 136% - arriti në 13.7 milion dollarë - dhe mbuloi dëmin nga Trojans për kompjuterët personalë me 30%.
Ne e parashikuam këtë rritje vitin e kaluar, pasi infeksionet e malware bëhen më pak të dukshme dhe vjedhjet automatizohen duke përdorur metodën e mbushjes automatike. Sipas vlerësimeve tona, dëmi nga ky lloj sulmi në Rusi gjatë vitit të kaluar arriti në 13.7 milion dollarë.
Ndalimi i anëtarëve të grupit kriminal Cron
